Come trattare con EvilQuest Mac ransomware (04.28.24)

Cosa c'è di peggio del ransomware? Un malware che si spaccia per ransomware ma opera come un malware diverso in background. Questo tipo di malware è così insidioso a causa della sua componente di misdirection. Mentre la vittima è impegnata a cercare di capire come risolvere l'infezione ransomware, il vero malware è in grado di fare liberamente il suo lavoro in background senza essere rilevato.

Questo è esattamente il caso del ransomware EvilQuest. Poiché è facile rilevare quando il Mac ha il ransomware EvilQuest, è più facile che il malware operi perché l'utente si concentra sul ransomware fumogeno.

Che cos'è EvilQuest Ransomware su Mac? ThiefQuest, è uno dei più recenti ceppi di ransomware scoperto lo scorso giugno 2020. Di solito è in bundle con copie piratate di popolari applicazioni Mac, tra cui Little Snitch, Mixed in Key e Ableton Live. Oltre al raggruppamento di app, è stato anche scoperto disgustoso come programma di aggiornamento software di Google.

EvilQuest funziona crittografando i documenti e i file della vittima utilizzando un potente algoritmo crittografico. Sarai avvisato della presenza del ransomware quando ricevi questo messaggio pop-up:

I tuoi file sono crittografati

Molti dei tuoi documenti importanti, foto, video, immagini e altri file non sono più accessibili perché sono stati crittografati.

Forse sei impegnato a cercare un modo per recuperare i tuoi file, ma non perdere tempo. Nessuno può recuperare i tuoi file senza il nostro servizio di decrittazione.

Ti garantiamo tuttavia che puoi recuperare i tuoi file in modo sicuro e semplice e questo ti costerà 50 USD senza costi aggiuntivi.

La nostra offerta è valida PER 3 GIORNI (a partire da ora!). I dettagli completi possono essere trovati nel file: READ_ME_NOW.txt che si trova sul tuo desktop

Rilascia anche una richiesta di riscatto, intitolata READ_ME_NOW.txt. La nota ribadisce quanto già menzionato nel messaggio pop up, poi aggiunge ulteriori dettagli in merito al pagamento:

Utilizziamo l'algoritmo AES a 256 bit, quindi ci vorrà più di un miliardo di anni per violare questa crittografia senza conoscere la chiave (puoi leggere Wikipedia su AES se non credi a questa affermazione).

In ogni caso, ti garantiamo che puoi recuperare i tuoi file in modo sicuro e semplice. Ciò richiederà l'utilizzo di una certa potenza di elaborazione, elettricità e spazio di archiviazione da parte nostra, quindi è prevista una commissione di elaborazione fissa di 50 USD. Questo è un pagamento una tantum, senza costi aggiuntivi inclusi.

Per accettare questa offerta, devi depositare il pagamento entro 72 ore (3 giorni) dopo aver ricevuto questo messaggio, altrimenti l'offerta scadrà e perderai i tuoi file per sempre.

Il pagamento deve essere depositato in Bitcoin in base al tasso di cambio Bitcoin/USD al momento del pagamento. L'indirizzo a cui devi effettuare il pagamento è:

13roGMpWd7Pb3ZoJyce8eoQpfegQvGHHK7

La decrittazione inizierà automaticamente entro 2 ore dall'elaborazione del pagamento e richiederà da 2 a 5 ore a seconda della potenza di elaborazione del tuo computer. Dopodiché tutti i tuoi file verranno ripristinati.

QUESTA OFFERTA È VALIDA PER 72 ORE DOPO AVER RICEVUTO QUESTO MESSAGGIO

Più di un ransomware

Quando guardi la richiesta di riscatto, vedrai notare subito la quota di riscatto molto bassa. È così trascurabile rispetto alla commissione di riscatto di $ 980 richiesta dalle varianti di ransomware della famiglia di ransomware STOP/Djvu o alla commissione di riscatto da $ 4.000 a $ 8.000 del malware Locky. Inoltre, noterai che non ci sono informazioni di contatto fornite sulla nota, quindi non c'è modo per la vittima di contattare l'aggressore.

Questo ti fa chiedere se gli aggressori sono seri su tutta la faccenda. Chiedere $ 50 di riscatto sembra uno scherzo, facendo dubitare molti esperti di sicurezza sulla vera natura di questo malware. E dopo ulteriori analisi, i ricercatori della sicurezza sono stati in grado di confermare che EvilQuest Ransomware è più di un semplice ransomware.

Ha funzioni e capacità che vanno oltre la crittografia dei file e la richiesta di quel misero riscatto. A uno sguardo più attento, si scopre che EvilQuest include anche funzionalità di keylogging e furto di dati. È in grado di raccogliere le tue immagini, vari tipi di documenti di testo, database, presentazioni, fogli di calcolo, portafogli crittografici, backup e altri dati sensibili. Il malware è anche in grado di determinare se è attualmente in esecuzione in una macchina virtuale e quali soluzioni di sicurezza sono attualmente installate, consentendogli di implementare varie strategie di persistenza.

Quando il ransomware esegue la scansione del sistema e trova dati che corrispondono a uno qualsiasi dei formati di dati, si connette immediatamente di nascosto al suo servizio di comando aprendo una shell inversa. Il malware lo utilizza come backdoor per scaricare file aggiuntivi sul tuo Mac ed esportare i dati raccolti a tua insaputa. Il malware lo fa bloccando contemporaneamente alcuni file di sistema, distogliendo l'attenzione da ciò che sta effettivamente facendo.

Ecco alcune delle estensioni crittografate da questo ransomware:

.pdf, .doc, .txt, .jpg, .pem, .pages, .cer, .py, .h, .webarchive, .zip, .xsl, .xslx, .docx, .ppt, .keynote , .js, .crt, .php, .m, .hpp, .pptx, .cpp, .cs, .sqlite3, .pl, .p, .p3, .wallet, .html, .dat e altri.

Come rimuovere EvilQuest ransomware dal Mac

Fortunatamente, molti software di sicurezza sono ora in grado di rilevare il ransomware EvilQuest ed eliminarlo dal tuo Mac. Puoi utilizzare il tuo programma antivirus per eliminare sia il ransomware che le funzioni "extra" (funzionalità di reverse shell e keylogger) dal tuo computer. Malwarebytes è uno degli strumenti efficaci per rimuovere il ransomware EvilQuest Mac. Il riscatto di WardleDove? strumento è anche in grado di rilevare e fermare i processi di crittografia dannosi da parte del ransomware EvilQuest. Sfortunatamente, l'utilizzo di questi strumenti porterà a una significativa perdita di dati se non si dispone di un backup dei file.

Se non si dispone di una copia dei file, è possibile utilizzare il decryptor EvilQuest rilasciato di recente di SentinelOne. Puoi guardare il video dimostrativo qui per aiutarti a capire come usarlo. Tuttavia, devi comunque rimuovere il ransomware dal tuo computer e ripulire il tuo Mac prima di utilizzare questo decryptor perché questo sbloccherà solo i tuoi file e non rimuoverà il malware.

Riepilogo

Di questi tempi i malware stanno diventando più creativi e sofisticati che è diventato difficile classificarli rigorosamente in base alla loro categoria. Il ransomware EvilQuest è un buon esempio di questa situazione. Quindi, se ricevi una notifica che il tuo Mac è stato infettato da qualsiasi tipo di malware, prendilo con le pinze. Assicurati di eseguire una scansione approfondita del tuo computer e di rimuovere tutte le tracce di malware dannoso sul tuo sistema.

Video Youtube: Come trattare con EvilQuest Mac ransomware

04, 2024